Autoridades certificadoras no Azure Device Registry

O gerenciamento de certificados no Azure Device Registry utiliza uma hierarquia de autoridade certificadora (CA) em dois níveis, composta por uma CA raiz e uma CA intermediária. Uma CA raiz atua como âncora de confiança para dispositivos no namespace, enquanto a CA intermediária (ICA), também conhecida como CA emissora, é responsável por emitir e renovar certificados de dispositivo em nome da CA raiz. Cada CA intermediária gerencia uma única política de certificado, que define o período de validade dos certificados que ela assina. Quando você cria uma autoridade certificadora intermediária, o Azure Device Registry:

• Gera e armazena com segurança o certificado intermediário da CA e a chave privada no Azure Key Vault Managed HSM. A proteção respaldada por hardware ajuda a evitar acessos não autorizados ao material de chave.

• Gerencia o ciclo de vida da CA intermediária, incluindo monitoramento da validade dos certificados e dando suporte às operações de rotação. Para CAs intermediárias criadas com BYOCA, você deve garantir que sua CA externa reemita uma nova CA intermediária antes do vencimento.

• Usa a CA intermediária para emitir certificados de dispositivo enquanto a CA raiz permanece como âncora confiável para a hierarquia.

Opções de implantação

Em um único namespace, você pode criar até três CAs intermediárias. Você tem duas opções de implantação para suas autoridades certificadoras intermediárias:

• Use uma AC raiz no nível do namespace: implante uma AC intermediária assinada e emitida por uma AC raiz no namespace. Essa CA raiz é criada no Microsoft Cloud PKI.

• Traga sua própria autoridade de certificação (BYOCA): implante uma AC intermediária assinada e emitida pela própria AC privada. Essa opção exige que você tenha acesso à sua CA privada para assinar.

Você também pode usar uma combinação de modelos de implantação em um único namespace.

Opção 1: Usar uma CA raiz em nível de namespace

Autoridade Certificadora Raiz

Em um Registro de Dispositivos do Azure, você pode criar até uma CA raiz por namespace. Use essa CA raiz para assinar CAs intermediárias que então emitem certificados de dispositivo:

Quando você cria uma CA raiz em um namespace, Azure Device Registry:

• Utiliza o Microsoft Cloud PKI para gerar e armazenar com segurança o certificado raiz da CA e a chave privada no Azure Key Vault Managed HSM. A proteção respaldada por hardware ajuda a evitar acessos não autorizados ao material criptográfico.
• Gerencia o ciclo de vida da CA raiz (root CA), incluindo monitoramento da validade do certificado e oferece suporte a operações de rotação. A CA raiz é válida por 10 anos.
• Utiliza a CA raiz para assinar CAs intermediárias enquanto mantém a CA raiz isolada das operações diárias de certificados de dispositivos.

Cadeia de certificados

Quando o Azure Device Registry emite um certificado de dispositivo, o certificado é encadeado à CA raiz do namespace através da CA intermediária. A cadeia consiste em:

• Certificado do dispositivo: Identifica um dispositivo IoT específico e é assinado pela CA intermediária.
• Certificado de CA intermediário: Assina e gerencia certificados de dispositivo e é assinado pela CA raiz do namespace.
• Certificado de CA raiz do namespace: Estabelece a raiz de confiança para o namespace.

Essa hierarquia limita o uso da CA raiz, separa as operações de certificados de dispositivo da âncora de confiança e garante que os certificados emitidos dentro da cadeia de namespace estejam encadeados a uma raiz de confiança comum.

Para começar com uma CA raiz gerenciada por namespace, veja configurar uma CA raiz e intermediária.

Opção 2: Traga sua própria CA (BYOCA)

O BYOCA permite criar uma CA intermediária no Azure Device Registry (ADR) que é ancorada a uma CA gerenciada fora da ADR. Essa CA emite certificados de dispositivo, mas a raiz de confiança continua sendo a CA externa. Quando você cria uma CA intermediária usando BYOCA, o ADR cria uma solicitação de assinatura de certificado para concluir a ativação.

Quando você configura uma CA intermediária que uma CA externa assina, a Microsoft:

• Gera e armazena de forma segura o certificado intermediário da CA e a chave privada no Azure Key Vault Managed HSM, fornecendo proteção suportada por hardware para operações criptográficas e ajudando a prevenir acessos não autorizados ao material da chave.

• Utiliza um modelo de responsabilidade compartilhada no qual a Microsoft gerencia o ciclo de vida intermediário da CA, incluindo monitoramento e rotação, enquanto a organização é responsável por renovar e manter a validade do certificado externo que assina a CA intermediária. Esse CA intermediário tem validade de um ano.

• Permite emitir certificados de dispositivo assinados pela CA intermediária, enquanto a CA externa permanece como âncora confiável para a hierarquia.

Cadeia de certificados

Quando um dispositivo solicita um certificado por meio do Registro de Dispositivo do Azure, o certificado é encadeado na AC externa por meio da AC intermediária. A cadeia consiste em:

• O certificado do dispositivo: Exclusivo para o dispositivo IoT específico.

• A AC emissora da Microsoft (ICA): a AC gerenciada pelo Registro de Dispositivos que assina a solicitação do dispositivo.

• A AC de raiz externa: a raiz confiável da sua organização, que assinou a ICA da Microsoft.

Qualquer serviço que confie na CA raiz da empresa confia automaticamente nos certificados que a Azure da Microsoft emite para seus dispositivos IoT.

Para começar com BYOCA, veja Traga sua própria CA.

Conteúdo relacionado

• O que é gerenciamento de certificados no Azure Device Registry?

• Fundamentos da PKI

• Autoridades certificadoras no Azure Device Registry

• Configure uma CA raiz e uma CA intermediária

• Emissão de certificados no Azure Device Registry

• Revogação de certificado no Azure Device Registry